Перейти к содержанию

Рекомендуемые сообщения

Опубликовано

Здравствуйте. В процессе работы, через RDP, зависла сессия, после чего сервер был перезагружен. После загрузки получили сообщение, что файлы зашифрованы. Зашифрованными оказались файлы 1С баз, файловые и sql, их копии, 1С обработки, doc, xls и многие другие форматы. Причём, форматы pdf, docx, xlsx, почти не были зашифрованы - как - то, очень, выборочно! Также, были убиты службы sql, сервер 1С и ещё, с дюжину других, отвечающих за теневое копирование, логирование, бэкапы. После этого, система была просканирована, свежими KVRT, Cureit, avz и перезагружена. Затем была выполнена команда sfc /scannow, которая показала, что все файлы, на 100% в порядке.

Addition.txt FRST.txt Зашифрованные.7z

Опубликовано

По очистке системы:

 

Выполните скрипт очистки в FRST

Запускаем FRST.exe от имени Администратора (если не запущен)

Копируем скрипт из браузера в буфер обмена, браузер закрываем.

Ждем, когда будет готов к работе,

Нажимаем в FRST кнопку "исправить".

Скрипт очистит систему, и завершит работу c перезагрузкой системы

Start:
HKLM\...\Policies\system: [legalnoticetext] All your files have been encrypted due to a security problem with your PC.
2025-01-10 23:11 - 2025-01-10 23:11 - 000001430 _____ C:\Users\usr1cv83\Desktop\How-to-decrypt.txt
2025-01-10 22:26 - 2025-01-10 22:26 - 000000000 ____D C:\temp
2025-01-10 22:25 - 2025-01-10 22:25 - 000000000 ____D C:\Users\usr1cv83\AppData\Roaming\Process Hacker 2
2025-01-10 22:25 - 2025-01-10 22:25 - 000000000 ____D C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Process Hacker 2
2025-01-10 22:25 - 2025-01-10 22:25 - 000000000 ____D C:\Program Files\Process Hacker 2
2025-01-10 23:15 - 2023-12-18 16:33 - 000000000 __SHD C:\Users\usr1cv83\AppData\Local\0072EFF7-783D-F477-CDFA-0F3171F236E0
Reboot::
End::

После перезагрузки:

Добавьте файл Fixlog.txt из папки, откуда запускали FRST, в ваше сообщение

Папку C:\FRST\Quarantine  заархивируйте с паролем virus, архив загрузите на облачный диск и дайте ссылку на скачивание в вашем сообщении.

Опубликовано

Добавьте, пожалуйста отчеты после сканирования KVRT  и лог сканирования Cureit, можно поместить в один архив без пароля.

Опубликовано

Вот.

Logi.7z

Что у Cureit, что у KVRT есть папки Quarantine. Мложет быть пригодятся?

Опубликовано

из найденного в Cureit:

C:\Users\Администратор\Downloads\AnyDesk.exe - infected with Trojan.MulDrop28.52419
C:\Users\Администратор\Downloads\AnyDesk.exe - infected

в kvrt это скорее всего тело шифровальщика:

            <Event12 Action="Detect" Time="133809952814626277" Object="C:\Users\usr1cv83\AppData\Local\0072EFF7-783D-F477-CDFA-0F3171F236E0\steam.exe"

 

есть еще пострадавшие от шифровальщика устройства, или только данный сервер был зашифрован?

 

Опубликовано

Только он

 

Есть шанс расшифровать?

 

Опубликовано (изменено)

Учетную запись ограничили и отключили после шифрования?

(из под нее похоже было шифрование.)

USR1CV83 (S-1-5-21-1281665750-1147704142-2868909237-1032 - Limited - Disabled) => C:\Users\usr1cv83

 

Изменено пользователем safety
Опубликовано (изменено)

Проверьте ЛС.

----------

Увы, по данному типу шифровальщика не сможем вам помочь без приватного ключа.

 

теперь, когда ваши файлы были зашифрованы, примите серьезные меры безопасности:


1. создание бэкапов данных на отдельном устройстве, которое не должно быть постоянно доступным;
2. установка актуальных обновлений для операционной системы;
3. установка надежной актуальной антивирусной защиты с регулярным обновлением антивирусных баз;
4. установка надежных паролей для аккаунтов из группы RDP;
5. настройка нестандартного порта (вместо стандартного 3389) для сервиса RDP;
6. настройки безопасности, которые защищают пароль к аккаунту от удаленного брутфорсинга
7. если есть такая возможность, настройте двухфакторную аутентификацию для доступа к рабочему столу
8. доступ к рабочему столу из внешней сети (если необходим для работы), либо через VPN подключение, либо только с доверенных IP (белый лист);

Изменено пользователем safety

Пожалуйста, войдите, чтобы комментировать

Вы сможете оставить комментарий после входа в



Войти
  • Похожий контент

    • ELF_11
      Автор ELF_11
      Зашифровали базы 1с. Прошу помощи.
      Addition.txt FRST.txt Новая папка.rar
    • Oleg_krsk
      Автор Oleg_krsk
      Здравия! Зашифрованы данные:
      Hello my dear friend (Do not scan the files with antivirus in any case. In case of data loss, the consequences are yours)
      Your data is encrypted by UVE
      Your decryption ID is BNTfl0HlszCcO2lxtK5ner4yJ4hsCRXClGUs1cHPyBw*uve-BNTfl0HlszCcO2lxtK5ner4yJ4hsCRXClGUs1cHPyBw
      Unfortunately for you, a major IT security weakness left you open to attack, your files have been encrypted
      The only method of recovering files is to purchase decrypt tool and unique key for you.
      If you want to recover your files, write us
      1) eMail - cristi@mailum.com
      2) Telegram - @cristi025 or https://t.me/cristi025
      Attention!
      Do not rename encrypted files. 
      Do not try to decrypt your data using third party software - it may cause permanent data loss. 
      We are always ready to cooperate and find the best way to solve your problem. 
      The faster you write - the more favorable conditions will be for you. 
       
      Помогите расшифровать!
    • SEDEK
      Автор SEDEK
      Добрый день! Наша компания столкнулась с мошенниками, которые заразили все сервера под управлением виндовс сервер. Очень прошу помочь, так как встали все рабочие процессы и офис не может функционировать.
       
      ZUT - Windows Server 2019
      Angel - Windows Server 2012 R2
      ZVID - Windows Server 2019
      Версия везде одна и та же keswin_12.10.0.466_ru_aes256.exe
      578A3A89.key
          Kaspersky Security for WS and FS
      578A3A88.key
          Kaspersky Security Center
       
       
      Addition.txt FRST.txt file .zip
    • SPQR35
      Автор SPQR35
      Зашифрованы документы на ПК. forumkasperskyclubru@msg.ws
      Addition.txt FRST.txt Файлы.rar
    • Gulzat
      Автор Gulzat
      Скорее всего вирус проник через RDP, распространился по доступным сетевым папкам, затронул только диск D, диск С не трогал. В готовых на сайте дешифровщиках не виден. Спасибо.
      Addition.txt FRST.txt virus.7z
×
×
  • Создать...